- Unbefugter Zugriff bei Global-e legte Namen und Kontaktdaten von Ledger-Kunden offen.
- Ledger bestätigt, dass Wiederherstellungsphrasen oder private Schlüssel von Wallets nicht kompromittiert wurden.
- Sicherheitsexperten warnen, dass durchgesickerte Kontaktdaten das Risiko für Phishing und Betrug erhöhen.
Der Hersteller von Hardware-Wallets Ledger hat mit einer neuen Datenpanne zu kämpfen, nachdem es zu einem unbefugten Zugriff auf die Systeme des externen Zahlungsdienstleisters Global-e kam. Der Vorfall betraf persönliche Kundendaten, darunter Namen und Kontaktinformationen, die aus der Cloud-Infrastruktur von Global-e entwendet wurden. Es gibt keine Hinweise darauf, dass Wallet-Guthaben, private Schlüssel oder Wiederherstellungsphrasen zu irgendeinem Zeitpunkt kompromittiert wurden.
Global-e informierte die betroffenen Kunden per E-Mail und teilte mit, dass ungewöhnliche Aktivitäten in Teilen seiner Cloud-Umgebung festgestellt wurden und eine Untersuchung eingeleitet wurde. In der Nachricht wurde nicht offenbart, wie viele Ledger-Kunden betroffen sind oder wann genau der Angriff stattfand. Die Benachrichtigung wurde erstmals öffentlich bekannt, nachdem sie von Blockchain-Ermittler ZachXBT auf X geteilt wurde.
Ledger bestätigte den Vorfall und erklärte, dass der Verstoß ausschließlich innerhalb der Systeme von Global-e auftrat. Das Unternehmen gab an, dass Global-e als Datenverantwortlicher agierte und daher die Kundenbenachrichtigungen versandte.
Drittanbieter-Verstoß von Global-e bestätigt
Global-e erklärte, dass unregelmäßige Aktivitäten festgestellt wurden und Sicherheitsmaßnahmen schnell ergriffen wurden, um das Problem einzudämmen. Das Unternehmen zog externe forensische Spezialisten hinzu, um den Vorfall im Detail zu untersuchen.
Diese Überprüfung bestätigte einen unrechtmäßigen Zugriff auf eine begrenzte Menge an persönlichen Kundendaten.
In seiner E-Mail teilte Global-e den Kunden mit: „Wir haben unabhängige forensische Experten beauftragt, den Vorfall zu untersuchen.“ Weiter hieß es, die Ermittler hätten bestätigt, dass „einige persönliche Daten, einschließlich Name und Kontaktinformationen, unrechtmäßig abgerufen wurden.“ Die Mitteilung erwähnte keine Zahlungsdetails oder Authentifizierungsdaten.
Ledger bestätigte später diese Erkenntnisse. Das Unternehmen erklärte, dass der unbefugte Zugriff Bestelldaten betraf, die innerhalb der Informationssysteme von Global-e gespeichert waren. Ledger betonte erneut, dass der Vorfall die eigene interne Infrastruktur, Geräte oder Anwendungen nicht betraf.
Ledger-Reaktion und Sicherheitsumfang
Ledger betonte, dass die selbstverwahrenden Produkte des Unternehmens von dem Vorfall nicht betroffen sind.
Das Unternehmen stellte klar, dass Global-e keinen Zugriff auf Wiederherstellungsphrasen, Wallet-Guthaben oder digitale Vermögenswerte-Geheimnisse hat. Ledger erklärte, dass die Hardware- und Software-Systeme weiterhin normal funktionieren.
„Dies war kein Verstoß gegen Ledgers Plattform-, Hardware- oder Software-Systeme“, so das Unternehmen.
Es wurde ergänzt, dass Global-e lediglich Kauf- und Bestellinformationen für Kunden verarbeitet, die über Ledger.com einkaufen. In den sozialen Medien von Ledger werden derzeit keine aktiven Sicherheitsvorfälle gelistet.
Das Unternehmen erläuterte außerdem, warum Global-e die Kunden direkt kontaktierte. Ledger erklärte, dass Global-e die betroffenen Daten kontrollierte und daher für die Benachrichtigung über den Verstoß verantwortlich war. Zum Zeitpunkt der Veröffentlichung haben beide Unternehmen keine Schätzung der betroffenen Kundenzahl veröffentlicht.
Verwandt: Ledger CTO warnt Wallet-Inhaber nach NPM-Konto-Hack
Frühere Sicherheitsvorfälle und anhaltende Risiken
Der Vorfall reiht sich in mehrere frühere Sicherheitsereignisse rund um Ledger ein. Im Juni 2020 führte eine falsch konfigurierte Drittanbieter-API zur Offenlegung von Marketing- und E-Commerce-Daten. Dieser Verstoß legte etwa eine Million E-Mail-Adressen und detaillierte Kontaktdaten von 9.500 Kunden offen.
Im Jahr 2023 nutzten Angreifer eine kompromittierte Softwarebibliothek, die mit Ledger in Verbindung stand, aus. Der Angriff führte innerhalb von fünf Stunden zu einem Abfluss von Kryptowährungen im Wert zwischen 484.000 und 600.000 US-Dollar. Betroffene Anwendungen waren unter anderem SushiSwap, Zapper, MetalSwap und Harvest Finance.
ZachXBT empfahl später, beim Kauf von Hardware-Wallets möglichst wenige oder alternative Kontaktinformationen zu verwenden. Dieser Ansatz soll die Wirksamkeit gezielter Phishing-Angriffe verringern, falls Datenbanken kompromittiert werden. Sicherheitsexperten warnen weiterhin, dass durchgesickerte Kontaktdaten auch ohne Wallet-Zugriff Social-Engineering-Angriffe begünstigen können.
